通过API结合HTML5 download属性安全下载Azure Blob方案问询

1. 该API路由方案是否可行？ #

完全可行。这种方案的核心优势在于：

• 仅在用户点击下载时才生成SAS令牌，从根源上避免了提前生成令牌导致的过期问题；
• 浏览器直接从Azure Blob存储下载文件，无需通过业务服务器中转，节省服务器带宽与资源开销；
• 能严格控制SAS令牌的有效期（比如设置为5-10分钟），兼顾安全性与用户体验。

2. 如何通过API向浏览器发送Azure Blob文件链接以实现自动下载？ #

核心思路是利用HTTP重定向：

1. 用户点击链接后，API先为当前登录用户生成有效期极短的SAS令牌；
2. API返回302 Found或307 Temporary Redirect响应，将浏览器重定向到带SAS令牌的Blob文件URL；
3. 为确保浏览器触发下载而非直接打开文件，需在生成SAS令牌时指定Content-Disposition响应头参数，让Azure Blob服务返回该头，强制浏览器下载并指定文件名。

3. 在ASP.NET Core Web API中需如何实现？ #

以下是具体的代码实现步骤：

步骤1：注入Azure Blob服务客户端 #

确保已安装Azure.Storage.Blobs NuGet包，并在Program.cs中配置Blob服务客户端：

builder.Services.AddAzureClients(clientBuilder =>
{
    clientBuilder.AddBlobServiceClient(builder.Configuration["AzureBlobStorage:ConnectionString"]);
});

步骤2：编写API Action #

在控制器中实现处理下载请求的Action，验证用户身份、生成SAS令牌并返回重定向：

using Azure.Storage.Blobs;
using Azure.Storage.Sas;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;

[ApiController]
[Route("api/values")]
[Authorize] // 确保只有登录用户能访问
public class ValuesController : ControllerBase
{
    private readonly BlobServiceClient _blobServiceClient;

    public ValuesController(BlobServiceClient blobServiceClient)
    {
        _blobServiceClient = blobServiceClient;
    }

    [HttpGet("import")]
    public IActionResult GetImportFileDownloadUrl()
    {
        // 1. 获取目标Blob客户端
        var containerClient = _blobServiceClient.GetBlobContainerClient("myfiles");
        var blobClient = containerClient.GetBlobClient("import.txt");

        // 2. 生成SAS令牌（仅授予读取权限，有效期5分钟）
        var sasBuilder = new BlobSasBuilder()
        {
            BlobContainerName = "myfiles",
            BlobName = "import.txt",
            Resource = "b", // 指定为Blob资源
            ExpiresOn = DateTimeOffset.UtcNow.AddMinutes(5)
        };
        sasBuilder.SetPermissions(BlobSasPermissions.Read);

        // 3. 添加Content-Disposition参数，强制浏览器下载并指定文件名
        sasBuilder.ContentDisposition = $"attachment; filename=\"import.txt\"";

        // 4. 生成完整的SAS令牌与Blob URL
        var sasToken = sasBuilder.ToSasQueryParameters(_blobServiceClient.GetSharedKeyCredential()).ToString();
        var blobUrlWithSas = $"{blobClient.Uri}?{sasToken}";

        // 5. 返回重定向响应
        return Redirect(blobUrlWithSas);
    }
}

说明：

• Authorize特性确保只有登录用户能触发SAS令牌生成；
• ContentDisposition参数直接嵌入SAS令牌，Azure Blob服务返回文件时会自动带上该响应头；
• SAS有效期设置为5分钟，足够用户完成下载，同时避免令牌长期有效带来的安全风险。

4. 客户端HTML页面需做哪些处理？ #

只需调整原有的<a>标签，移除download属性即可：

<a href="../api/values/import">Download Import File</a>

原因：

• 当API返回重定向响应时，浏览器会自动跟随到Blob URL，而Blob服务返回的Content-Disposition: attachment; filename="import.txt"头会触发浏览器的下载行为，无需额外的download属性；
• 保留download属性可能会与Blob服务返回的头冲突，导致文件名不符合预期。

内容的提问来源于stack exchange，提问作者Raghu